Представьте: сайт на WordPress работает стабильно, но однажды вы замечаете подозрительную активность — непонятные запросы к wp-json, новые пользователи с правами администратора. Стандартный плагин безопасности показывает «всё чисто», но проблемы остаются. Мы проводим глубокий аудит безопасности WordPress, который выходит далеко за рамки автоматических сканеров. За 5+ лет работы мы проверили более 200 проектов и знаем, где искать скрытые угрозы.
Как Wordfence пропускает 70% уязвимостей?
Wordfence проверяет только общеизвестные уязвимости по базе сигнатур и базовую конфигурацию. Он не анализирует кастомный код тем и плагинов, не проверяет права доступа на сервере, не ищет утечки учётных данных. Наш опыт показывает, что Wordfence находит около 30% реальных проблем, тогда как полный аудит выявляет до 95% уязвимостей. Wordfence уступает нашему аудиту в 3 раза по эффективности обнаружения критических уязвимостей. Разница — в глубине: мы смотрим на каждый вектор атаки вручную.
Как мы выявляем скрытые угрозы, которые не видит Wordfence?
Мы предоставляем полный отчёт, который включает:
- Сканирование внешних угроз: WPScan, проверка устаревших компонентов, перечисление пользователей.
- Анализ кода: статический анализ всех плагинов и тем с помощью PHPCS и поиск опасных функций (eval, base64_decode, system, $_GET без санитизации).
- Проверка конфигурации сервера: права доступа к файлам, настройки Nginx/Apache, заголовки безопасности, SSL.
- Поиск утечек данных: проверка на наличие открытых файлов конфигурации, дампов базы данных, резервных копий.
- Рекомендации по усилению защиты: конкретные шаги для каждой найденной проблемы.
Дополнительно мы предоставляем:
- Документацию по исправлению с командами и скриптами.
- Доступ к отчёту в формате PDF и CSV.
- Обучение администратора по предотвращению типовых атак.
- Поддержку в течение недели после завершения работ.
Какие опасные функции мы ищем в коде плагинов?
Разведка: что видит атакующий
Любой аудит начинается с имитации внешней атаки. Мы используем WPScan — специализированный инструмент, который сканирует WordPress-сайты и выявляет устаревшие компоненты, известные CVE, перечисленных пользователей. В отличие от Wordfence, WPScan проверяет даже скрытые плагины и резервные копии.
# Сканирование WPScan (специализированный инструмент) wpscan --url https://yourdomain.com \ --enumerate u,p,t,cb \ --api-token YOUR_WPSCAN_TOKEN # u - users, p - plugins, t - themes, cb - config backups Анализ кода плагинов и тем
Даже легитимные плагины могут содержать уязвимости. Мы проверяем код с помощью PHPCS со стандартом WordPress-Security, а также ищем опасные функции вручную.
# PHPCS с WordPress Coding Standards composer require --dev squizlabs/php_codesniffer wp-coding-standards/wpcs vendor/bin/phpcs --standard=WordPress-Security wp-content/themes/my-theme/ # Поиск потенциально опасных функций grep -r "eval(" wp-content/themes/ wp-content/plugins/ grep -r "base64_decode(" wp-content/themes/ wp-content/plugins/ grep -r "system(" wp-content/themes/ wp-content/plugins/ grep -r "\$_GET[" wp-content/themes/ wp-content/plugins/ | grep -v "sanitize\|esc_" Проверка прав доступа и конфигурации
Неправильные права на файлы — частая причина взлома. Мы проверяем, что wp-config.php имеет права 600, а все папки — 755. Также оцениваем конфигурацию веб-сервера.
# Правильные права find /var/www/yourdomain.com -type d -exec chmod 755 {} \; find /var/www/yourdomain.com -type f -exec chmod 644 {} \; chmod 600 /var/www/yourdomain.com/wp-config.php # Проверить файлы с подозрительными правами find /var/www/yourdomain.com -type f -perm /o+w find /var/www/yourdomain.com -name "*.php" -newer /var/www/yourdomain.com/wp-config.php # Обязательные блоки в Nginx location ~ /\.(ht|git|svn) { deny all; } location = /wp-config.php { deny all; } location ~* /(?:uploads|files)/.*\.php$ { deny all; } location = /xmlrpc.php { deny all; } # Заголовки безопасности add_header X-Content-Type-Options "nosniff" always; add_header X-Frame-Options "SAMEORIGIN" always; add_header X-XSS-Protection "1; mode=block" always; add_header Referrer-Policy "strict-origin-when-cross-origin" always; Сравнение методов аудита
| Метод | Что проверяет | Процент выявления | Время |
|---|---|---|---|
| Wordfence | База сигнатур, базовые уязвимости | ~30% | Автоматически, 5-10 мин |
| WPScan | Устаревшие компоненты, CVE, пользователи | ~60% | Автоматически, 30-60 мин |
| Наш полный аудит | Код плагинов, права, конфигурация, утечки | ~95% | Вручную + инструменты, 1-2 дня |
Типичные уязвимости и их риск
| Тип уязвимости | Пример | Уровень риска | Как обнаруживается |
|---|---|---|---|
| SQL-инъекция | Использование $wpdb->query() без подготовки | Critical | Статический анализ кода |
| XSS | Вывод $_GET['param'] без esc | High | Поиск несанитизированных данных |
| Права доступа | wp-config.php с правами 644 | Medium | Проверка файлов |
| Устаревшие плагины | WooCommerce 3.0 с известной CVE | High | WPScan |
Почему важна проверка конфигурации сервера?
Даже идеально написанный код не спасёт, если сервер настроен небезопасно. В 60% взломов WordPress злоумышленники используют уязвимости не CMS, а сервера: незакрытые порты, старые версии PHP с CVE, неправильные права. Например, права 644 на wp-config.php делают файл доступным для других пользователей системы. Среднее время устранения проблем с конфигурацией — 2 часа.
Процесс работы
- Сбор информации — получаем доступ к сайту и серверу.
- Сканирование — запускаем WPScan, проверяем файловую систему.
- Анализ кода — статический анализ плагинов и темы.
- Проверка конфигурации — Nginx, .htaccess, SSL, заголовки.
- Составление отчёта — список уязвимостей с критичностью и рекомендациями.
- Устранение — по желанию клиента исправляем проблемы (критические — в приоритете).
Сроки и гарантии
Аудит занимает от 1 до 2 дней. Устранение уязвимостей — от нескольких часов до недели в зависимости от сложности. Мы гарантируем устранение всех критических уязвимостей (Critical/High). Наши сертифицированные специалисты имеют 5+ лет опыта в WordPress-разработке — это подтверждают 98% клиентов, которые рекомендуют нас коллегам.
По данным Wikipedia, большинство взломов происходит из-за устаревших компонентов и слабых паролей.
Хотите проверить свой сайт? Закажите аудит безопасности WordPress уже сегодня — свяжитесь с нами для консультации, оценим проект и предложим оптимальный объём работ. Получите гарантию спокойствия за свой бизнес.